この記事は、自治体・公共団体の調達担当者が「どの書類をベンダーに出させるか」を設計する段階で使えるリファレンスです。RFP条項の書き方は姉妹記事（RFP条項）で、提案書の採点基準はスコアリング設計の記事で扱っています。
デジタル庁のDS-920ガイドライン（2026年4月全面適用）は、調達時に「契約上の取り決め事項」をベンダーから書面で確認することを求めています。しかし実際の調達現場では、「提案書に機能一覧はあるが、AIポリシーや学習利用の取り扱いについては記載がない」というケースが多く見られます。本記事では、発注側が求める証跡の種類と、ベンダー側が事前に準備すべき書類構成を整理します。
証跡パックとは何か
「証跡パック」は、ベンダーのAI利用に関するポリシーと運用実態を書面化したドキュメントセットです。機能仕様書・見積書とは別冊で提出を求め、提案評価の審査基準に組み込みます。
DS-920ガイドラインと総務省「自治体におけるAI活用・導入ガイドブック（第4版）」が要求・推奨している確認事項をもとに、証跡パックの標準構成を次の表に整理します。
| 証跡名 | 主な確認内容 | 推奨形式 |
|---|---|---|
| AI利用ポリシー | 利用目的の限定・入力禁止情報の定義・AIへの最終判断委任禁止 | PDFまたは社内規程 |
| データ非学習証明 | 顧客入力データをモデル学習・改善に使用しないことの誓約または契約条項 | 契約書別紙または誓約書 |
| ログ設計書 | 保存項目・保存期間・閲覧権限・エクスポート手順 | 設計書またはスクリーンショット付き仕様書 |
| 権限管理仕様 | 職員ロール別の操作範囲・アクセス制御の実装方法 | 設計書 |
| インシデント対応フロー | 情報漏えい疑い発生時の連絡先・連絡期限・初動手順・エスカレーション先 | フローチャート付き手順書 |
| 削除・返却手順書 | 契約終了時の入力データ・ログ・モデル利用記録の完全消去手順と証跡発行方法 | 手順書＋完了報告書テンプレ |
| 再委託先一覧 | 利用クラウドプロバイダー、AI API提供会社、運用委託先の名称・所在国・役割 | 表形式 |
発注側の確認質問リスト
証跡パックを受け取った後、審査では次の質問に対してベンダーが具体的に回答できるかを確認します。「確認します」「調べて連絡します」という回答は減点対象として扱います。
学習利用について
- 入力データをモデル改善に使わないことを、契約条項として明記できますか。
- APIプロバイダー（例：OpenAI、Google）の利用規約で、エンタープライズプランを使ってオプトアウトが有効になっていることを証明できますか。
ログについて
- 保存しているログ項目の一覧を見せてください（入力・出力・操作者・タイムスタンプ・参照元ドキュメントID）。
- ログを外部監査機関や発注者がダウンロードできる形式で提出できますか。
インシデント対応について
- 情報漏えいの疑いが発生した場合、発注者への第一報は何時間以内ですか。
- 過去に類似案件でインシデントが発生した事例があれば、概要と対応内容を開示できますか。
削除・返却について
- 契約終了後、データ削除完了までの日数とその証跡の形式を教えてください。
- 削除対象は入力ログ、出力ログ、利用者情報、モデルファインチューニングデータを含みますか。
ベンダー側が事前に整備すべき証跡パック
公共AI案件を受注しようとするベンダーにとっても、証跡パックは「聞かれてから作る」ものではありません。提案書提出前に以下の書類を整備しておくと、発注者の信頼を得やすくなります。
| 優先度 | 書類 | 整備のポイント |
|---|---|---|
| 必須 | AI利用ポリシー（1枚） | 自社が定義する「入力禁止情報」を明記する |
| 必須 | データ非学習誓約書 | 利用APIプロバイダーのプラン種別と設定状態を明示する |
| 必須 | インシデント対応フロー | 「〇時間以内に連絡」「誰が判断する」を具体化する |
| 推奨 | ログ設計書 | 実際の管理画面キャプチャを添付する |
| 推奨 | 削除手順書 | 完了報告書の書式サンプルを用意する |
| 推奨 | 再委託先一覧 | クラウド・AI API・サポート会社の所在国まで記載する |
証跡パックは、ベンダー選定の実務チェックが参考になるフォーマットをガイドしています。公共案件向けのコンプライアンス対応はコンプライアンス支援も活用できます。
よくある確認不備とその影響
証跡パックの審査で見落としやすい不備と、それが運用時にどう顕在化するかを整理します。
| 確認不備 | 運用時の問題 |
|---|---|
| APIのオプトアウト設定が確認されていない | 住民データがモデル学習に使われていた可能性を否定できない |
| ログ保存項目に「参照元ドキュメント」が含まれていない | 誤回答の根拠調査ができない |
| 再委託先一覧にAI APIプロバイダーが抜けている | 本当のデータの所在地が不明のまま |
| インシデント連絡フローに連絡期限がない | 漏えい判明から住民への通知が遅れる |
| 削除手順書が「依頼があれば対応する」のみ | 削除完了の証跡が取れない |
GXOはどう支援するか
GXOでは、発注側の自治体・公共団体に対して「どの証跡書類をベンダーから取るか」の設計支援と、受け取った証跡の内容審査を行います。また、AI案件に参入したいベンダーが証跡パックを整備する過程でも支援が可能です。LLMセキュリティreadiness診断を入口に、どのポリシー書類から整備すべきかを優先順位化します。
よくある質問
Q1. セキュリティ認証（ISO 27001等）を持っていればAIポリシー証跡は不要ですか
ISO 27001などの認証は情報セキュリティ管理体制の証明であり、AI固有の学習利用禁止・ログ設計・インシデントフローをカバーするものではありません。認証があっても証跡パックの提出は別途求めることを推奨します。
Q2. 中小ベンダーでも証跡パックを準備できますか
規模が小さくても最低限の書類（AI利用ポリシー・データ非学習誓約・削除手順）は1〜2日で作成できます。「整備中」と回答するより、簡易版でも提出した上で「整備計画」を添えるほうが評価されます。
Q3. 証跡パックの内容をどこで確認すべきですか
DS-920ガイドラインの「契約上の取り決め事項」節と、総務省ガイドブック第4版の別添「生成AIシステム利用ガイドラインひな形」が参考になります。
参考情報
- デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン（DS-920）」：https://www.digital.go.jp/en/news/3579c42d-b11c-4756-b66e-3d3e35175623
- DS-920 ガイドライン本文（PDF）：https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/80419aea/20250527_resources_standard_guidelines_guideline_01.pdf
- 総務省「自治体におけるAI活用・導入ガイドブック（導入手順編・第4版）」：https://www.soumu.go.jp/main_content/000820109.pdf
- 経済産業省・総務省「AI事業者ガイドライン（第1.2版）」：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_1.pdf
ベンダーへの証跡要求リストを整理しませんか
GXOでは、DS-920ガイドライン対応の証跡パック設計、発注側の審査チェックリスト作成、ベンダー側の書類整備支援まで、公共AI調達の証跡管理を一貫して支援します。